쿠팡 6247억 '철퇴' 맞았는데…'3954만 계정' 정보유출 티빙은 100억대?

온라인동영상서비스(OTT) 티빙에서 중복을 포함한 계정 3954만개의 개인정보가 유출된 것으로 나타나면서 개인정보보호위원회의 제재 수위에 관심이 쏠린다. 쿠팡은 개인정보 유출 등으로 과징금 6246억8100만원을 받았지만, 연 매출 4000억원대인 티빙은 현행법상 100억원대에 머물 수 있다. 일각에선 매출이 작으면 과징금이 작아지는 구조가 형평성 논란을 부를 수밖에 없다는 지적이 나온다.

5일 IT 업계에 따르면 쿠팡 과징금 중 유출과 안전조치 위반분은 4235억7500만원이고, 나머지 2011억600만원은 이용자 1117만명의 타사 웹·앱 이용행태를 동의 없이 수집한 별도 위반에 대한 것이다. 유출 관련 금액만 따져도 티빙 매출 3%를 단순 계산한 121억8000만원의 35배다.

과학기술정보통신부가 지난 3일 발표한 조사 결과에 따르면 티빙 유출 계정은 활성 2206만개, 휴면·탈퇴 1737만개, 테스트 11만개다. 유출 항목은 아이디·비밀번호·성명·생년월일·휴대전화번호·이메일·연계정보(CI) 등 20개 항목 70종이다. 휴대전화번호와 이메일은 암호화키까지 함께 유출돼 정부는 사실상 평문 유출로 봤다. 인증·결제·검색 알고리즘 소스코드가 담긴 개발 프로젝트 361건, 30.35GB도 빠져나갔다. 쿠팡에는 없던 기술자산 유출이다.

보안 관리 부실도 드러났다. 접속키가 소스코드에 노출되거나 평문으로 저장됐고, 2024년 모의해킹에서 이 위험을 확인하고도 고치지 않았다. 첫 반출 때 데이터베이스 서버 CPU 사용률이 100%까지 치솟았지만 티빙은 침해가 아닌 부하 문제로 봤다. 정보보호 조직에 공유되기까지 14시간이 걸렸다.

쿠팡의 최종 유출 규모는 회원 3322만명과 비회원 433만명을 합친 약 3750만명이다. SK텔레콤은 가입자 2324만명의 유심 인증키 등 25종이 유출돼 1347억9100만원을 받았다.

사회적 대응의 무게도 달랐다. 쿠팡은 국회 현안질의와 청문회가 5차례 열렸고 박대준 당시 대표가 사퇴했으며 10개 넘는 부처가 참여한 범정부 TF가 조사에 나섰다. SK텔레콤도 신규 영업정지와 위약금 전액 면제, 3차례 국회 질의를 거쳤다. 티빙 유출은 지난 6월 초 지방선거 국면에 묻혔고 규모는 3개월 뒤에야 드러났다.

현행 개인정보 보호법 과징금 상한은 전체 매출액의 3%다. 티빙의 지난해 매출 4059억8138만원에 적용하면 121억7944만원이다. 오는 11일 시행되는 개정법은 고의·중과실로 1000만명 이상 피해를 낸 경우 매출의 10%까지 물릴 수 있지만 티빙의 침입은 5월 31일 끝나 원칙적으로 3% 체계가 적용된다.

매출연동 방식은 한국과 EU(매출의 2~4%), 중국(전년 매출 5%)이 쓴다. 일본은 최대 1억엔(약 10억원) 정액이다. 국내에서는 결혼정보업체 듀오가 혈액형·종교·학력 등 24개 이상 항목 42만7464명분을 유출하고도 과징금 11억9700만원을 받아 솜방망이 논란이 일었던 바 있다.

업계 관계자는 "현행 제도에서는 '개인정보 가치=기업 매출'이라는 등식이 성립한다"며 "피해 인원과 정보의 민감성, 알고도 방치한 취약점, 신고 지연을 가중 요소로 반영해 유출 규모와 질적 심각성에 따른 공평한 처분이 이뤄져야 한다"고 말했다.